メインコンテンツへスキップ
AMPL
経営層は、リスクの言葉で聞く
レッスン 13 / 15|12分で読めます

経営層は、リスクの言葉で聞く

「いいツールなんです」は経営会議で通らない。医療法施行規則のサイバー義務化、経営ガイドラインの3原則、稟議書の型。提案を経営の言葉に翻訳する。

現場で評判のいいツールが、経営会議であっさり見送られる。

逆に、たいして新しくもない提案が、すんなり通る。

この差は、ツールの良し悪しではありません。言葉の違いです。

現場は「便利かどうか」で話します。経営層は「リスクと投資に見合うか、説明責任を果たせるか」で聞きます。今回は、AI導入の提案をこの言葉に翻訳する道具を、法令と公式ガイドラインから揃えます。

ㅤ

まず、決定的な事実から

経営層への説明で、最初に置くべき事実がひとつあります。

医療機関のサイバーセキュリティ確保は、2023年4月から法的義務です。

医療法施行規則の改正（令和5年厚生労働省令第20号）で、第14条第2項にこう新設されました。

病院、診療所又は助産所の管理者は、医療の提供に著しい支障を及ぼすおそれがないように、サイバーセキュリティ...を確保するために必要な措置を講じなければならない。

主語は「管理者」。つまり院長・理事長の義務です。しかも令和5年6月から、立入検査（医療監視）の項目にもなりました。検査では、厚労省チェックリストへの記入状況やインシデント時の連絡体制図が確認されます。

この一枚があると、話の土俵が変わります。「セキュリティをやりましょう」というお願いではなく、「管理者の法的義務を、この提案はこう果たします」という報告になる。経営層が動く言葉とは、こういう言葉です。

ㅤ

経営層の「共通語」: サイバーセキュリティ経営ガイドライン

経済界には、経営層向けセキュリティの標準テキストがあります。経産省とIPAのサイバーセキュリティ経営ガイドライン Ver3.0（2023年）です。冒頭の3原則が、そのまま経営層の思考の型を教えてくれます。

  • 原則1: サイバーセキュリティリスクは経営課題であり、経営者自らのリーダーシップで対策を進める
  • 原則2: 自社だけでなく、委託先を含むサプライチェーン全体に目配りする
  • 原則3: 平時から関係者とコミュニケーションする

AI導入の提案がこの3原則の言葉で書かれていると、経営層は自分の教科書と同じ構造で読めます。特に原則2は前回の審査（委託先・サブプロセッサ）と直結し、あなたの10の質問への回答が、そのままサプライチェーン管理の実施証拠になります。

もうひとつ、医療版の教科書である3省2ガイドライン第6.0版の経営管理編には、こういう一節があります。

安全管理対策の実施を「コスト」と捉えるのではなく、質の高い医療の提供に不可欠な「投資」と捉え、その実施に必要となる資源（予算・人材等）の確保に努めることも重要である。

「コストではなく投資」。この言葉は厚労省自身のものです。提案書に引用してよい、公式の後ろ盾です。

ㅤ

稟議書の型: 8つの箱を埋める

言葉が揃ったら、形式です。日本の組織の意思決定文書（稟議書・起案書）は、おおむね次の箱で構成されます。

箱AI導入提案での中身
目的何の業務課題を解決するか（例: 文書作成時間の削減）
必要な理由現状の損失を数字で（時間×人数×時給）
費用対効果導入費用と削減効果の比較。悲観シナリオも添える
代替案比較他ツール・現状維持との比較表
リスクと対策前回の10の質問と回答をここに貼る
ロードマップ段階導入の計画（次々回で扱います）
見直し時期導入後レビューの期日と、やめる基準（撤退条件）
根拠法令・指針医療法施行規則14条2項・経営GL・3省2GL経営管理編

視点

「撤退条件」を自分から書くと、信頼が跳ねる

多くの稟議テンプレートに、実は「やめる基準」の箱がありません。だからこそ、自分から書くと効きます。「3ヶ月で利用率がN%未満なら解約」「インシデント発生時は即時停止して報告」。撤退条件を先に差し出す提案者は、経営層から見て「都合の悪い未来も見えている人」です。承認は、機能の良さではなく、この信頼に下ります。

ㅤ

否決の理由を、先回りで潰す

経営層・審査部門がAI導入を見送る理由は、調べるとかなり定型的です。

  • データの所在が不明（海外リージョン・非開示）→ 前回の質問2で先回り
  • 学習利用が既定でオン → 質問1で先回り。エンタープライズ契約の学習不使用を明記
  • ログと通知体制が不明 → 質問4・7で先回り
  • 担当者不在（誰が管理するのか）→ 提案書に管理責任者と報告ラインを書く
  • 費用対効果が語られていない → 稟議の箱で先回り

つまり、否決理由のほとんどはこの講座でもう装備した答えで消せます。残るのは、あなたにしか書けない部分、つまり臨床現場の課題と効果の数字だけです。

ㅤ

今日のまとめ

3行で振り返ります。

  • 医療機関のサイバーセキュリティは2023年4月から管理者の法的義務。提案は「お願い」ではなく「義務の履行」として語れる
  • 経営層の共通語は経営ガイドラインの3原則と「コストではなく投資」（厚労省の言葉）
  • 稟議は8つの箱。リスク欄には10の質問の回答を貼り、撤退条件は自分から書く

セルフチェック

1. 医療機関のサイバーセキュリティ確保について、2023年4月以降の法的位置づけとして正しいのは？

2. 経営層向けのAI導入提案として、最も通りやすい構成は？

ㅤ

次のレッスン

承認が下りたら、次は組織のルールづくりです。ルールがない組織では、AIは「全面禁止」か「野放し（シャドーAI）」の二択に落ちます。次回は、利用ガイドラインを1枚から作る型を扱います。

ㅤ

参考・出典